Schatten-KI in der Pharmabranche: Risiken erkennen & in 90 Tagen stoppen
Was ist Schatten-KI? – Definition, Zahlen und warum Pharma besonders betroffen ist
Schatten-KI bezeichnet den Einsatz von KI-Tools durch Mitarbeitende ohne Freigabe, Prüfung oder Kenntnis der Organisation – ein Phänomen, das gerade im regulierten Umfeld als Schatten-KI Pharma besondere Brisanz entfaltet. Typische Beispiele: private ChatGPT-Accounts, Claude, Gemini, DeepL Free oder KI-Browser-Erweiterungen – genutzt im Berufsalltag, ohne dass IT-Abteilung oder Compliance davon wissen. Schatten-KI entsteht fast nie aus böser Absicht. Sie entsteht, weil eine Aufgabe schneller erledigt werden soll und der offizielle Weg fehlt oder zu langsam ist.
Das Phänomen ist eng verwandt mit dem bekannteren Begriff Schatten-IT. Der entscheidende Unterschied: Schatten-KI verarbeitet Inhalte aktiv – sie generiert Texte, fasst Dokumente zusammen, analysiert Daten. Das Risiko ist damit um ein Vielfaches höher als bei klassischer Schatten-IT, weil sensible Daten das Unternehmen verlassen, ohne dass jemand es bemerkt.
Die Zahlen sind eindeutig. Laut Doctolib Digital Health Report 2026 (YouGov, 414 Ärzte und MFA) nutzt die Hälfte der niedergelassenen Ärztinnen und Ärzte private KI-Anwendungen wie ChatGPT für Dokumentation und Recherche – 54 % äußern dabei selbst Datenschutzbedenken. Die ESCRIBA-Befragung (Juni 2026, 1.000 Büroangestellte) zeigt: 47,8 % nutzen beruflich nicht freigegebene ki-tools; 42,7 % verarbeiten damit interne E-Mails, 15,7 % strategische Informationen, knapp 13 % Kundendaten. Bitkom bestätigt in seiner Unternehmenserhebung, dass Schatten-KI in deutschen Unternehmen längst kein Einzelfall mehr ist, sondern ein strukturelles Phänomen – mit steigender Tendenz.
Jetzt handeln, bevor der nächste Audit kommt: Unverbindliches Erstgespräch vereinbaren
Welche Rolle spielt KI in der Pharmaindustrie?
Künstliche Intelligenz übernimmt in der Pharmaindustrie zunehmend Aufgaben in Regulatory Affairs, Medical Writing, Pharmacovigilance und Drug Discovery. KI-Anwendungen beschleunigen die Literaturrecherche, strukturieren Zulassungsdossiers, analysieren Sicherheitssignale und unterstützen bei der Formulierung klinischer Dokumente. Der einsatz ist produktivitätssteigernd – aber nur dann, wenn er kontrolliert, validiert und regelkonform erfolgt. Unkontrollierte ki-nutzung in regulierten Prozessen ist kein Effizienzgewinn, sondern ein Compliance-Risiko.
Warum Schatten-KI Pharma & Healthcare härter trifft als andere Branchen
In anderen Branchen ist unkontrollierte ki-nutzung ein Compliance- und IT-Sicherheitsproblem. In Pharma und Healthcare ist es das auch – aber zusätzlich ein regulatorisches, haftungsrechtliches und patientensicherheitsrelevantes Problem.
Der Grund: Pharma-Unternehmen arbeiten mit Daten, die in keiner anderen Branche so streng reguliert sind. Klinische Studiendaten unterliegen GxP-Anforderungen. Patientendaten sind besonders sensible personenbezogene Daten nach DSGVO Art. 9. Zulassungsdokumente enthalten Intellectual Property, deren Abfluss existenzbedrohend sein kann. Produktionsprozesse sind nach CSV/CSA (Computer System Validation / Computer Software Assurance) validierungspflichtig.
Wenn eine Mitarbeiterin in Regulatory Affairs ein Zulassungsdossier in ein externes Sprachmodell einfügt, um eine Zusammenfassung zu erstellen, passiert Folgendes: Die Daten verlassen das Unternehmen. Sie landen auf Servern außerhalb der EU. Sie können – je nach Nutzungsbedingungen – für das Training zukünftiger Modelle verwendet werden. Und niemand in der IT-Abteilung weiß davon.
Genau das beschreibt ein typisches Schatten-KI-Szenario im Unternehmensalltag: Mitarbeitende anonymisieren Studienergebnisse oberflächlich – ein paar Namen geschwärzt – und geben strukturelle Informationen wie Marktdaten, Formulierungsstrategien oder Testergebnisse trotzdem in externe Systeme ein. Das ist kein Datenleck im klassischen Sinne. Aber es ist eines.
Die fünf Risikoebenen: DSGVO, GxP, Geschäftsgeheimnis, EU AI Act, Qualität
Schatten-KI im Unternehmen aus dem Pharma- und Healthcare-Bereich erzeugt risiken auf fünf Ebenen gleichzeitig.
Ebene 1: DSGVO und Datenschutzverletzung
Werden personenbezogene Daten – Patientendaten, Mitarbeiterdaten, Probandendaten – in nicht freigegebene KI-Systeme eingegeben, liegt in der Regel eine Datenschutzverletzung vor. Ohne Auftragsverarbeitungsvertrag (AVV) mit dem KI-Anbieter ist die Verarbeitung rechtswidrig. Bußgelder nach DSGVO können bis zu 4 % des weltweiten Jahresumsatzes betragen. Hinzu kommt der Reputationsschaden gegenüber Behörden, Partnern und Öffentlichkeit.
Ebene 2: GxP, CSV und CSA
GxP-regulierte Prozesse – von der klinischen Prüfung bis zur Chargenfreigabe – erfordern validierte Systeme. Ein Large Language Model, das über einen privaten Account genutzt wird, ist nicht validiert, nicht qualifiziert und nicht in das Qualitätsmanagementsystem eingebunden. Ergebnisse, die auf Basis solcher ki-anwendungen entstehen, sind für regulatorische Einreichungen nicht verwendbar.
Ebene 3: Geschäftsgeheimnisse und IP
Forschungsdaten, Patentanmeldungen, Formulierungsstrategien und Zulassungsstrategien sind Geschäftsgeheimnisse im Sinne des GeschGehG. Werden sie in externe KI-Modelle eingegeben, verliert das Unternehmen unter Umständen den Schutzstatus. Sicherheitslücken entstehen hier nicht durch Hackerangriffe, sondern durch alltägliche nutzung – ein Datenleck durch die Hintertür.
Ebene 4: EU AI Act und Risikoklassen
Der EU AI Act klassifiziert KI-Systeme in Risikoklassen. KI-Anwendungen in medizinischen und pharmazeutischen Kontexten – etwa zur Diagnoseunterstützung oder zur Bewertung klinischer Daten – können als Hochrisiko-KI eingestuft werden. Für solche Systeme gelten strenge Anforderungen: Konformitätsbewertung, Risikomanagement, technische Dokumentation. Wer Hochrisiko-KI unkontrolliert einsetzt, verstößt gegen den EU AI Act.
Ebene 5: Qualität, Haftung und Halluzinationen
Generative KI produziert plausibel klingende Ausgaben – auch wenn diese faktisch falsch sind. Halluzinationen in medizinischen Texten, Regulatory-Dokumenten oder Pharmacovigilance-Berichten sind keine theoretische Gefahr. Wer KI-generierte Ergebnisse ohne Prüfprozess in regulierte Dokumente übernimmt, trägt die Haftung – persönlich, als Führungskraft und als Unternehmen.
Haftungsrisiken für Führungskräfte in regulierten Prozessen
Die persönliche Haftung von Führungskräften ist im regulierten Umfeld kein abstraktes Risiko. Wer als Geschäftsführer oder leitende Führungskraft weiß – oder wissen müsste –, dass Mitarbeitende nicht freigegebene ki-tools in regulierten Prozessen einsetzen, und keine Gegenmaßnahmen ergreift, verletzt seine Organisationspflichten. Risikomanagement beginnt deshalb nicht in der IT-Abteilung, sondern auf Führungsebene.
EU AI Act im Pharma-Kontext: Was Unternehmen jetzt wissen müssen
Der EU AI Act ist seit August 2024 in Kraft. Für Pharma-Unternehmen sind zwei Aspekte besonders relevant.
Hochrisiko-KI-Klassifizierung: KI-Systeme, die in der Diagnoseunterstützung, der Bewertung klinischer Daten oder der Steuerung medizinischer Geräte eingesetzt werden, fallen in die Hochrisiko-Kategorie des EU AI Act. Das bedeutet: Konformitätsbewertungspflicht, Risikomanagement-System, technische Dokumentation, menschliche Aufsicht und Registrierung in der EU-Datenbank. Wer solche Systeme ohne diese Voraussetzungen einsetzt – auch wenn es sich um nicht freigegebene ki-tools handelt –, verstößt gegen geltendes EU-Recht.
Art. 4 AI Literacy Pflicht seit Februar 2025: Seit Februar 2025 sind Unternehmen verpflichtet, sicherzustellen, dass alle Mitarbeitenden, die KI-Systeme einsetzen, über ausreichende KI-Kompetenz verfügen. Eine KI-Schulung ist damit keine freiwillige Weiterbildungsmaßnahme mehr, sondern eine gesetzliche Anforderung. Unternehmen, die diese Pflicht nicht erfüllen, riskieren Bußgelder und regulatorische Konsequenzen.
Die praktische Konsequenz: Pharma-Unternehmen müssen nicht nur regeln, welche KI-Anwendungen erlaubt sind. Sie müssen auch nachweisen können, dass ihre Mitarbeitenden die Grundlagen der ki-nutzung verstehen – inklusive der risiken, die mit dem einsatz von Schatten-KI verbunden sind.
Pharma-spezifische Szenarien: Regulatory Affairs, Medical Writing, Pharmacovigilance, Drug Discovery
Schatten-KI im Unternehmen zeigt sich in Pharma und Healthcare in vier besonders kritischen Bereichen:
Regulatory Affairs: Mitarbeitende nutzen externe Sprachmodelle, um Zulassungsdossiers zu strukturieren, Behördenfragen zu beantworten oder Variation-Anträge vorzubereiten. Zulassungsdokumente enthalten hochsensible Informationen zur Wirkstoffzusammensetzung, zu klinischen Ergebnissen und zu Produktionsprozessen. Kein Unternehmen kann kontrollieren, was mit diesen Daten auf externen Servern passiert.
Medical Writing: Medizinische Texte – Clinical Study Reports, Investigator Brochures, Labeling – werden mit KI-Unterstützung erstellt. Ohne validierten Prozess und ohne Zugriffskontrollen entsteht ein unkontrollierbarer Datenstrom. Halluzinationen in klinischen Aussagen können zu Fehlern in Einreichungen führen.
Pharmacovigilance: Meldepflichtige Ereignisse werden in KI-Systeme eingegeben, um Berichte zu formulieren oder Signale zu analysieren. Patientendaten – auch pseudonymisierte – sind Sensible Daten im Sinne der DSGVO. Ihre Verarbeitung in nicht freigegebenen KI-Systemen ist ein klarer Datenschutzverstoß.
Drug Discovery und Forschung: Wissenschaftlerinnen und Wissenschaftler nutzen generative KI, um Literatur auszuwerten, Hypothesen zu generieren oder Molekülstrukturen zu analysieren. Forschungsdaten, die dabei eingegeben werden, können Patentschutz und Wettbewerbsvorteile gefährden.
8 Use Cases für Regulatory & Medical Affairs
Die folgenden Use Cases zeigen, wie ki-nutzung in Pharma-Unternehmen strukturiert und regelkonform aussehen kann.
Use Case 1: Strukturierung von Zulassungsdossiers (CTD-Format)
Reifegrad: Produktiv einsetzbar (mit validierten Systemen) | Regulatorische Einordnung: GxP-relevant, DSGVO-relevant bei Patientendaten
Beispiel-Prompt: „Erstelle eine Gliederung für Modul 2.5 (Clinical Overview) eines CTD-Dossiers für ein orales Antidiabetikum. Berücksichtige die ICH E8-Anforderungen. Verwende keine echten Studiendaten.“
Hoher Nutzen bei der Strukturierung und Vorformatierung. Kein Ersatz für fachliche Prüfung durch Regulatory-Experten.
Use Case 2: Gap-Analyse von Behördenanfragen (LoQ-Bearbeitung)
Reifegrad: Proof of Concept | Regulatorische Einordnung: GxP-relevant, IP-sensitiv
Beispiel-Prompt: „Analysiere die folgende Liste of Questions der EMA und kategorisiere die Fragen nach Dringlichkeit, betroffenem CTD-Modul und erforderlichem Expertenteam. Gib keine inhaltlichen Antworten, nur eine strukturierte Übersicht.“
Mittlerer Nutzen bei der Priorisierung. Nur mit anonymisierten oder synthetischen Daten im Pilotbetrieb.
Use Case 3: Medical Writing – Zusammenfassungen klinischer Studien
Reifegrad: Proof of Concept | Regulatorische Einordnung: GxP-relevant, DSGVO-relevant
Beispiel-Prompt: „Erstelle eine strukturierte Zusammenfassung eines klinischen Studienberichts nach ICH E3-Format. Eingabe: [anonymisierter Studienbericht]. Kennzeichne alle KI-generierten Abschnitte.“
Hoher Nutzen bei der Ersterstellung. Pflicht: Menschliche Prüfung vor jeder Einreichung.
Use Case 4: Pharmacovigilance – Signalanalyse aus Literaturdaten
Reifegrad: Proof of Concept | Regulatorische Einordnung: GxP-relevant, DSGVO-relevant, potenziell Hochrisiko-KI
Beispiel-Prompt: „Analysiere die folgenden Publikationen auf unerwünschte Arzneimittelwirkungen für [Wirkstoffklasse]. Erstelle eine strukturierte Übersicht nach MedDRA-Systemorganklassen. Keine Patientendaten verwenden.“
Hoher Nutzen bei der Literaturauswertung. Hochrisiko-KI-Klassifizierung prüfen.
Use Case 5: Regulatory Intelligence – Monitoring von Behördenpublikationen
Reifegrad: Produktiv einsetzbar | Regulatorische Einordnung: Nicht GxP-reguliert, keine Patientendaten
Beispiel-Prompt: „Fasse die aktuellen EMA-Guideline-Updates der letzten 30 Tage zusammen. Kategorisiere nach Therapiegebiet und Relevanz für [Produktportfolio-Beschreibung ohne Markennamen].“
Hoher Nutzen, geringes regulatorisches Risiko. Guter Einstieg für KI-Pilotprojekte.
Use Case 6: Erstellung von Investigator Brochures (IB)
Reifegrad: Proof of Concept | Regulatorische Einordnung: GxP-relevant, IP-sensitiv
Beispiel-Prompt: „Erstelle eine Gliederung für eine Investigator Brochure nach ICH E6(R3)-Anforderungen für einen monoklonalen Antikörper in Phase II. Verwende keine echten Wirkstoffdaten.“
Mittlerer Nutzen bei der Strukturierung. Hoher Validierungsaufwand für inhaltliche Abschnitte.
Use Case 7: Medical Affairs – Erstellung von Medical Information Letters
Reifegrad: Produktiv einsetzbar (mit freigegebenen Systemen) | Regulatorische Einordnung: DSGVO-relevant bei Patientenanfragen, AMG-relevant
Beispiel-Prompt: „Erstelle einen Medical Information Letter für eine Anfrage zu Off-Label-Nutzung von [Wirkstoffklasse]. Basis: [freigegebene Fachinformation]. Kennzeichne alle Aussagen mit Quellenangabe.“
Hoher Nutzen bei Standardanfragen. Pflicht: Medizinisch-wissenschaftliche Prüfung vor Versand.
Use Case 8: Interne Schulungsunterlagen für GxP-Trainings
Reifegrad: Produktiv einsetzbar | Regulatorische Einordnung: Nicht direkt GxP-reguliert, Qualitätssicherung erforderlich
Beispiel-Prompt: „Erstelle ein Quiz mit 10 Fragen zur GMP-Grundausbildung für Produktionsmitarbeitende. Schwierigkeitsgrad: Einsteiger. Basis: [freigegebene SOP-Zusammenfassung]. Keine vertraulichen Prozessdaten verwenden.“
Hoher Nutzen, geringer Aufwand. Guter Einstieg für KI-Schulungsinitiativen.
Was sich für Rollen und Kompetenzen ändert
KI-nutzung in Pharma-Unternehmen verändert nicht nur Prozesse – sie verändert auch Rollenprofile und Kompetenzanforderungen.
Regulatory Affairs Manager müssen verstehen, welche ki-anwendungen für welche Dokumenttypen geeignet sind, wie KI-generierte inhalte zu kennzeichnen und zu prüfen sind, und welche Anforderungen der EU AI Act an Hochrisiko-KI stellt.
Medical Writer müssen Prompting-Techniken beherrschen, KI-generierte Texte kritisch bewerten und Halluzinationen erkennen. Gleichzeitig steigt der Wert ihrer fachlichen Expertise – denn KI kann strukturieren, aber nicht urteilen.
Pharmacovigilance Officer müssen wissen, welche Daten in KI-Systeme eingegeben werden dürfen und welche nicht. Sensible Daten aus Fallberichten sind tabu für externe ki-tools – das erfordert klares wissen über Datenklassen und Zugriffskontrollen.
IT und Compliance müssen KI-Governance-Strukturen aufbauen, Zugriffskontrollen implementieren und sicherstellen, dass freigegebene Systeme die regulatorischen Anforderungen erfüllen.
Die Art. 4 AI Literacy Pflicht des EU AI Act macht KI-Schulung für alle diese Rollen zur gesetzlichen Anforderung. Ein strukturierter KI-Führerschein – angepasst an die spezifischen Anforderungen von Regulatory Affairs, QA, Medical Affairs und Produktion – ist der effizienteste Weg, diese Pflicht zu erfüllen und gleichzeitig Produktivität zu steigern.
Warum Verbote scheitern – und was stattdessen funktioniert
Das Naheliegende klingt einfach: KI-tools verbieten. Zugang sperren. Fertig.
Es funktioniert nicht.
Verbote verlagern das Problem in den privaten Browser. Mitarbeitende, die bestimmte Plattformen auf dem Firmenrechner nicht mehr aufrufen können, nutzen ihr Smartphone. Oder den privaten Laptop im Homeoffice. Das Ergebnis: Die nutzung wird unsichtbar, nicht kleiner. Die risiken bleiben – nur ohne jede Kontrollmöglichkeit.
Regeln, die niemand versteht, werden nicht befolgt. Eine KI-Richtlinie, die wie AGB-Text formuliert ist, ändert kein Verhalten. Mitarbeitende scrollen durch, setzen den Haken – und machen weiter wie bisher.
Was stattdessen funktioniert: klare regeln, sichere Alternativen und strukturierte KI-Schulung. Mitarbeitende brauchen nicht weniger KI – sie brauchen ki-anwendungen, die sie bedenkenlos nutzen können. Das bedeutet: eine freigegebene Plattform, klare Verhaltensregeln und das wissen, was erlaubt ist und was nicht.
Governance-Rahmen statt Verbote: KI-Strategie, Botschafter-Programme, KI-Führerschein
Ein wirksamer KI-Governance-Rahmen besteht aus drei Elementen, die zusammenwirken müssen.
KI-Strategie: Ohne übergeordnete Richtung bleibt jede Einzelmaßnahme ein Strohfeuer. Eine KI-Strategie legt fest, welche Ziele das Unternehmen mit KI verfolgt, welche Prozesse prioritär sind und welche Ressourcen bereitgestellt werden.
KI-Botschafter-Programm: Schatten-KI entsteht in Abteilungen – und wird dort auch am effektivsten adressiert. KI-Botschafterinnen und -Botschafter fungieren als erste Anlaufstelle für KI-Fragen, identifizieren neue Anwendungsfälle und verankern die KI-Richtlinie in ihrer Abteilung. Ein strukturiertes 6-monatiges Botschafter-Programm verhindert den Strohfeuer-Effekt nach einmaligen Schulungen und sorgt für nachhaltige Verhaltensänderung.
KI-Führerschein für Pharma-Teams: Die Art. 4 AI Literacy Pflicht des EU AI Act erfordert nachweisbare KI-Grundkompetenz für alle Mitarbeitenden, die KI-Systeme einsetzen. Ein KI-Führerschein – angepasst an die spezifischen Anforderungen von Regulatory Affairs, QA, Medical Affairs und Produktion – erfüllt diese Pflicht und schafft gleichzeitig die Grundlage für eine sichere, produktive ki-nutzung im Unternehmen. SESTdigital bietet diese KI-Schulung mit Mengenrabatten für größere Pharma-Unternehmen an – buchbar als Live-Online- oder Vor-Ort-Format.
Der entscheidende Unterschied zu Verboten: Ein Governance-Rahmen kanalisiert die ki-nutzung, anstatt sie zu blockieren. Er schafft Transparenz, wo vorher Schatten-KI herrschte – und gibt Mitarbeitenden die tools, die sie brauchen, um KI verantwortungsvoll einzusetzen.
Der 90-Tage-Plan: Inventur, KI-Richtlinie und Firmen-GPT-Pilot
Schatten-KI im Unternehmen lässt sich nicht über Nacht lösen. Aber in 90 Tagen lässt sich ein tragfähiges Fundament errichten.
Phase 1 (Tage 1–30): Inventur und Bestandsaufnahme
Zuerst müssen Sie wissen, was bereits genutzt wird. Eine strukturierte Bestandsaufnahme erfasst:
- Welche ki-tools werden in welchen Abteilungen genutzt?
- Welche Datenklassen werden dabei verarbeitet (öffentlich, intern, vertraulich, reguliert)?
- Welche Prozesse sind betroffen (GxP-relevant, DSGVO-relevant, IP-sensitiv)?
- Welche Mitarbeitenden haben bereits KI-Erfahrung – und könnten als KI-Botschafterinnen oder -Botschafter fungieren?
Ziel dieser Phase: ein klares Bild der tatsächlichen ki-nutzung – ohne Schuldzuweisungen, mit dem Ziel, Lösungen zu entwickeln.
Phase 2 (Tage 31–60): KI-Richtlinie und Governance-Rahmen
Auf Basis der Inventur entsteht eine KI-Richtlinie, die tatsächlich gelesen und verstanden wird. Nicht als AGB-Anhang, sondern als klares Regelwerk mit konkreten Beispielen:
- Welche KI-Systeme sind freigegeben – und für welche Datenklassen?
- Welche Daten dürfen niemals in externe KI-Systeme eingegeben werden?
- Wie werden KI-generierte Ergebnisse gekennzeichnet und geprüft?
- Wer ist verantwortlich für KI-Governance im Unternehmen?
- Welche Eskalationswege gibt es bei Unsicherheiten?
Parallel dazu werden Auftragsverarbeitungsverträge (AVV) mit freigegebenen KI-Anbietern abgeschlossen, Zugriffskontrollen implementiert und die ersten KI-Botschafterinnen und -Botschafter benannt.
Phase 3 (Tage 61–90): Firmen-GPT-Pilot
Die wirksamste Antwort auf Schatten-KI ist eine freigegebene Alternative, die besser ist als die nicht freigegebene. Ein Firmen-GPT – gehostet in der deutschen Cloud oder On-Premise – erfüllt genau diese Funktion.
Auswahlkriterien für den Piloten:
– Welche Abteilung hat den höchsten KI-Bedarf und die höchste Schatten-KI-Dichte?
– Welche Use Cases sind GxP-unkritisch genug für einen schnellen Pilot?
– Welche Datenquellen sollen eingebunden werden (Fachinformationen, SOPs, Regulatory-Datenbanken)?
On-Premise vs. deutsche Cloud:
| Kriterium | On-Premise | Deutsche Cloud |
|---|---|---|
| Datensouveränität | Maximal | Hoch (DSGVO-konform) |
| Implementierungsaufwand | Hoch | Mittel |
| GxP-Eignung | Möglich (mit Validierung) | Möglich (mit Validierung) |
| Skalierbarkeit | Eingeschränkt | Hoch |
| Empfehlung | Für hochregulierte Prozesse | Für die meisten Pharma-Piloten |
Nach dem Pilot folgt die Skalierung: weitere Abteilungen, weitere Datenquellen, weiteres Training der Nutzerinnen und Nutzer.
Bereit für den ersten Schritt? Jetzt unverbindliches Erstgespräch vereinbaren
Plattform-Vergleich: Public LLM vs. Enterprise-Tenant vs. Firmen-GPT
Nicht jede KI-Plattform ist für den einsatz in Pharma-Unternehmen geeignet. Der folgende Vergleich zeigt die drei realistischen Optionen.
| Kriterium | Public LLM (ChatGPT Free/Plus) | Enterprise-Tenant (ChatGPT Enterprise, Copilot M365) | Firmen-GPT (On-Premise / deutsche Cloud) |
|---|---|---|---|
| Datensicherheit | Gering – Daten können für Training genutzt werden | Mittel – kein Training, aber US-Server | Hoch – Daten bleiben im Unternehmen |
| GxP-Eignung | Nicht gegeben | Eingeschränkt | Möglich (mit Validierung) |
| DSGVO-Konformität | Kritisch – kein AVV, US-Transfer | Bedingt – AVV möglich, aber US-Jurisdiction | Hoch – DSGVO-konform bei deutscher Cloud |
| Zugriffskontrollen | Keine | Begrenzt (M365-Integration) | Vollständig konfigurierbar |
| Unternehmensdaten einbinden | Nicht möglich | Begrenzt | Vollständig (RAG, eigene Datenquellen) |
| Empfehlung für Pharma | Nicht freigeben | Für unkritische Prozesse prüfen | Bevorzugte Lösung für regulierte Bereiche |
Der entscheidende Vorteil eines Firmen-GPT: Sensible Daten verlassen das Unternehmen nicht. Das System kann auf validierten Unternehmensdaten trainiert werden – Fachinformationen, SOPs, Regulatory-Datenbanken – und liefert damit relevantere Ergebnisse als ein generisches Sprachmodell. SESTdigital entwickelt Firmen-GPT-Lösungen und KI-Plattformen, die in der deutschen Cloud oder On-Premise gehostet werden – mit vollständiger Datensouveränität und der Möglichkeit zur GxP-Validierung.
KI-Richtlinien speziell für Pharma: AMG, DSGVO, GxP – anwaltlich geprüft
Eine KI-Richtlinie für Pharma-Unternehmen ist kein generisches Dokument. Sie muss die spezifischen regulatorischen Anforderungen der Branche abbilden.
Was eine pharma-spezifische KI-Richtlinie enthalten muss:
- AMG-Bezug: Welche ki-anwendungen sind in arzneimittelrechtlich regulierten Prozessen zulässig?
- DSGVO Art. 9: Wie werden Sensible Daten (Patientendaten, Gesundheitsdaten) in KI-Systemen behandelt?
- GxP-Validierungsanforderungen: Welche KI-Systeme müssen validiert werden?
- Datenklassifizierung: Klare Kategorien für öffentliche, interne, vertrauliche und regulierte Daten.
- Freigabeprozess: Wie werden neue ki-tools geprüft und freigegeben?
- Kennzeichnungspflicht: Wie werden KI-generierte inhalte in Dokumenten gekennzeichnet?
- Sanktionsregelung: Was passiert bei Verstößen gegen die KI-Richtlinie?
SESTdigital erstellt KI-Richtlinien, die auf die spezifischen Anforderungen von Pharma-Unternehmen zugeschnitten sind – in einer Basisvariante sowie in einer anwaltlich geprüften Version mit vollständiger Rechtskonformität nach DSGVO, AMG und EU AI Act.
Checkliste: 15 Punkte, die vor dem Go-Live stehen müssen
Bevor eine KI-Plattform oder ein Firmen-GPT in einem Pharma-Unternehmen produktiv geht, müssen diese 15 Punkte erfüllt sein:
- KI-Inventur abgeschlossen – Alle genutzten ki-tools sind erfasst und bewertet.
- Datenklassifizierung definiert – Klare Kategorien für alle Datenklassen liegen vor.
- KI-Richtlinie verabschiedet – Von der Geschäftsführung genehmigt und kommuniziert.
- AVV mit KI-Anbietern abgeschlossen – Auftragsverarbeitungsverträge mit allen freigegebenen Anbietern sind unterzeichnet.
- DSGVO-Konformität geprüft – Datenschutz-Folgenabschätzung für risikoreiche Verarbeitungen ist durchgeführt.
- GxP-Validierungsstatus geklärt – Für GxP-relevante Prozesse ist der Validierungsbedarf bewertet und dokumentiert.
- EU AI Act Risikoklassifizierung – Alle eingesetzten KI-Systeme sind nach den Risikoklassen des EU AI Act bewertet.
- Zugriffskontrollen implementiert – Technische Maßnahmen verhindern den Zugriff auf nicht freigegebene ki-tools.
- KI-Schulungen durchgeführt – Alle Mitarbeitenden mit KI-Zugang haben eine Grundausbildung absolviert (Art. 4 EU AI Act).
- KI-Botschafterinnen und -Botschafter benannt – In jeder betroffenen Abteilung gibt es eine Ansprechperson.
- Kennzeichnungspflicht kommuniziert – Alle Mitarbeitenden wissen, wie KI-generierte inhalte zu kennzeichnen sind.
- Eskalationswege definiert – Klare Prozesse für Unsicherheiten und Vorfälle sind dokumentiert.
- Protokollierung eingerichtet – KI-nutzung wird in regulierten Bereichen protokolliert und auditierbar gemacht.
- Freigabeprozess für neue tools – Ein definierter Prozess für die Prüfung und Freigabe neuer KI-Systeme ist etabliert.
- Notfallplan bei Datenschutzvorfall – Ein Incident-Response-Plan für KI-bezogene Datenschutzverletzungen liegt vor.
Alle 15 Punkte auf einmal angehen? Jetzt unverbindliches Erstgespräch vereinbaren
SESTdigital begleitet Pharma-Unternehmen bei allen Phasen dieses Prozesses – von der KI-Inventur über die KI-Richtlinie bis zur Implementierung eines Firmen-GPT. Mit 150+ begleiteten Unternehmen seit 2021, 700+ durchgeführten Seminaren & Consultings und 10.000+ geschulten Teilnehmenden bringen wir die Praxiserfahrung mit, die regulierte Branchen brauchen.
